Inicio / Recursos / Chile
Chile · Recursos
La Ley 21.719, que regula la protección y el tratamiento de los datos personales y crea la Agencia de Protección de Datos Personales, entra en vigor el 1 de diciembre de 2026. La norma eleva las exigencias sobre licitud, transparencia, seguridad, derechos de las personas y responsabilidad. Quedan pocas semanas para revisar cómo su empresa trata los datos que recibe, usa y comparte.
Actualizado: octubre de 2026 · Fuentes oficiales al final del artículo
La Ley 21.719 modifica en profundidad la Ley 19.628 sobre protección de la vida privada, que regulaba el tratamiento de datos personales en Chile desde 1999. La nueva ley acerca el marco chileno a los estándares internacionales y crea una autoridad de control especializada. Su entrada en vigor está fijada para el 1 de diciembre de 2026.
Afecta a cualquier empresa que trate datos personales de clientes, trabajadores, proveedores o usuarios, con independencia de su tamaño. Lo que cambia según cada empresa es el volumen y la sensibilidad de los datos, los riesgos y, por tanto, el esfuerzo de adecuación razonable.
Los cambios principales pueden agruparse en cinco ámbitos:
Para muchas empresas, el mayor cambio no es un documento nuevo, sino la necesidad de que las áreas de negocio, tecnología y recursos humanos compartan una misma forma de trabajar con los datos.
Licitud: cada tratamiento debe apoyarse en una base de legitimación prevista en la ley, como el consentimiento u otras bases legales, y respetar los principios de finalidad, proporcionalidad y calidad de los datos.
Transparencia: las personas deben recibir información clara sobre quién trata sus datos, con qué fines, durante cuánto tiempo y con quién se comparten.
Seguridad: el responsable debe adoptar medidas de seguridad adecuadas al riesgo y gestionar las vulneraciones de seguridad, incluidas las comunicaciones que la ley exige.
Derechos de las personas: se amplía el catálogo de derechos, que incluye acceso, rectificación, supresión, oposición, portabilidad y bloqueo, y deben existir procedimientos para atenderlos en plazo.
Responsabilidad: la empresa debe poder demostrar cómo cumple, no solo afirmarlo. Esto exige registros, políticas aprobadas, contratos con proveedores y evidencias.
La ley crea la Agencia de Protección de Datos Personales, un organismo con funciones de fiscalización, interpretación y sanción. Hasta ahora, la ausencia de una autoridad especializada limitaba la supervisión efectiva. Con la Agencia, las empresas deben contar con que los reclamos de las personas y los incidentes de seguridad puedan derivar en procedimientos administrativos.
La ley establece un régimen de infracciones graduadas y sanciones. Más allá de las cuantías, conviene tener presente el efecto reputacional y la necesidad de responder con evidencias ordenadas ante un requerimiento de la autoridad.
Una revisión proporcional puede organizarse en cuatro bloques de trabajo:
Con el plazo tan próximo, conviene priorizar. Un orden práctico es empezar por los tratamientos de mayor riesgo, como los datos sensibles, los datos de trabajadores y los tratamientos con proveedores tecnológicos, y dejar para una segunda fase los ajustes de menor impacto. Lo importante es que, a partir del 1 de diciembre de 2026, la empresa pueda explicar qué datos trata, por qué, con qué medidas los protege y cómo atiende a las personas que ejercen sus derechos. Ese plan de trabajo, con responsables y fechas, también es una evidencia útil de diligencia.
Inventario de tratamientos: identificar qué datos trata la empresa, de quién, con qué finalidad, con qué base de legitimación, dónde se almacenan y durante cuánto tiempo.
Proveedores y terceros: revisar quién accede a los datos por cuenta de la empresa (servicios en la nube, nómina, marketing, soporte), qué contratos existen y si hay transferencias internacionales.
Incidentes: definir cómo se detecta, evalúa, registra y comunica una vulneración de seguridad, quién decide y en qué plazos internos.
Gobierno de datos: asignar responsables, aprobar políticas, preparar los procedimientos de atención de derechos y planificar la formación de las áreas que tratan datos.
No todo lo que se recomienda en materia de datos personales es obligatorio para todas las empresas. Distinguir los planos ayuda a priorizar:
Obligación legal: los principios, deberes de información y seguridad, la atención de derechos y las demás exigencias que la Ley 21.719 impone a quien trata datos personales.
Aplicabilidad: algunas exigencias dependen del tipo de dato (por ejemplo, datos sensibles o de niños, niñas y adolescentes), del volumen o del riesgo del tratamiento. Debe analizarse cada caso.
Estándar voluntario: la ley contempla un modelo de prevención de infracciones de adopción voluntaria. Normas como ISO/IEC 27001 o ISO/IEC 27701 pueden servir de referencia técnica, pero no sustituyen las obligaciones legales.
Buena práctica: revisar periódicamente el inventario, probar el procedimiento de incidentes y formar a los equipos con casos reales de la empresa.
Compliance360 LATAM acompaña a su empresa en el diagnóstico y la adecuación a la Ley 21.719: inventario de tratamientos, revisión de proveedores, procedimiento de incidentes, atención de derechos y gobierno de datos. La participación de profesionales locales y el alcance de la revisión jurídica se confirman en la propuesta de cada proyecto.
Compliance360 PYME ayuda a organizar tareas, documentos, evidencias, responsables y revisiones del programa de datos personales. No garantiza por sí mismo el cumplimiento ni sustituye el análisis jurídico de cada tratamiento. Si quiere preparar a su empresa para la Ley 21.719, puede solicitar un diagnóstico inicial.
Servicio relacionado
Protección de datos personales
Evaluamos cómo su empresa trata los datos personales e implantamos las medidas organizativas y documentales necesarias según la legislación aplicable en cada país.
Fuentes oficiales
Biblioteca del Congreso Nacional de Chile. Ley 21.719
Actualizado: octubre de 2026. Contenido informativo general. No sustituye el asesoramiento jurídico sobre su caso concreto.
FAQ
¿Cuándo entra en vigor la Ley 21.719?
La Ley 21.719 entra en vigor el 1 de diciembre de 2026. Desde esa fecha, las empresas que tratan datos personales en Chile deben ajustarse al nuevo régimen.
¿La Ley 21.719 aplica a pequeñas y medianas empresas?
Sí, aplica a quien trata datos personales, con independencia de su tamaño. El esfuerzo de adecuación debe ser proporcional al volumen, la sensibilidad y el riesgo de los datos que trata cada empresa.
¿Es obligatorio adoptar un modelo de prevención de infracciones?
No. La ley lo plantea como un modelo de adopción voluntaria. Puede ayudar a ordenar el cumplimiento, pero no sustituye las obligaciones legales ni garantiza un resultado ante la autoridad.
Solicite un diagnóstico inicial y revisaremos su situación en Chile.
